ログアナライザーの機能
上のボックスに任意のサーバーログを貼り付けると、Uplink Trace が検出できるすべての IPv4 および IPv6 アドレスを抽出し、重複を除去したうえで、各アドレスの出現頻度に応じて結果を並べ替えます。抽出された各アドレスには、公開データに基づく情報が付与されます。すなわち、運用ネットワーク（地域レジストリから取得した ASN および AS 名）、DB-IP Lite データセットに基づくおおよその地域（正直な信頼度評価付き）、そして AS 事業者名がデータセンター、ホスティングプロバイダー、または VPN の範囲を示唆する場合のヒューリスティックなフラグです。このフラグが LIKELY（可能性が高い）と表示されるのは、事業者名はあくまで手がかりであって証拠ではないためです。
インストールすべきエージェントもなければ、設定すべきフォーマットもありません。抽出は生のテキストに対する一度きりの処理です。Ctrl+V で貼り付けて実行するだけで、タイムスタンプ、リクエストパス、その他行に含まれるすべての要素はそのまま無視されます。
貼り付けられるもの
テキストであれば何でも構いません。このアナライザーは、以下のようなデータを想定して作られています。
- Web アクセスログ — nginx や Apache の combined または common フォーマット、CDN やロードバランサーのログ。
- 認証ログ — auth.log、sshd の失敗行、fail2ban の出力。
- ファイアウォールのエクスポート — iptables および nftables のログ、pf の出力、Windows ファイアウォールの CSV、ルーターの syslog。
- その他すべて — メールヘッダー、アプリケーションのトレース、スプレッドシートからコピーした列など。テキスト内にアドレスが含まれていれば、必ず検出されます。
生のログではなく、すでに整理されたアドレスの一覧をお持ちの場合は、一括 IP 検索が 1 行につき 1 アドレスを受け付け、抽出のステップを省略します。
不審なトラフィックのトリアージ
- ヒット数で並べ替える。 ブルートフォース攻撃やスクレイパーは集中する傾向があります。通常、ごく一部のアドレスがノイズの大半を生み出す一方で、正当な利用者はロングテールに位置します。
- 難読化フラグを確認する。 LIKELY datacenter や LIKELY VPN とフラグが付いた範囲からのログイン失敗の繰り返しは、家庭用ブロードバンドで同じパターンが見られる場合とはまったく意味が異なります。マップのピンに頼る前に、IP ジオロケーションの精度についてお読みください。国レベルの位置特定は信頼できますが、都市レベルはそうでないことが多く、モバイルや VPN のトラフィックはしばしば誤った場所に表示されます。
- 上位の要注意アドレスを掘り下げる。 各アドレスは、逆引き DNS、AS の詳細、登録者、ジオロケーションの信頼度の内訳を含む完全なドシエにリンクしています。形式はこのトレース例と同じです。
- ネットワークへ視点を移す。 ノイズの多い複数のアドレスが同じ AS を共有している場合、ASN 検索がその範囲全体を運用している事業者を示します。これは、50 個のルールではなく 1 個のファイアウォールルールにたどり着く最短経路となることがよくあります。
繰り返しお伝えしておくべき注意点が 1 つあります。IP ジオロケーションが特定するのはネットワークであって、人ではありません。ログ内のアドレスは、おおよその地域と運用ネットワークに結び付きますが、個人、世帯、あるいは番地を特定することはできません。
貼り付けたログはどうなるか
貼り付けられたログはリクエストの間だけメモリ上で処理され、保存、索引付け、再利用されることはありません。抽出されたアドレスは公開データセットのローカルコピーと照合されるため、ログの内容が分析パイプラインの外へ出ることは決してありません。詳細はプライバシーポリシーに記載しています。